Azure Kubernetes集群命名空间专属监控仪表盘搭建求助

一、基于Azure Monitor创建命名空间专属仪表盘 #

1. 基础创建步骤 #

• 进入Azure Portal的Azure Monitor，打开「仪表盘」页面，点击「新建」选择空白模板
• 添加指标组件：选择Kubernetes相关指标（如kubernetes.container_cpu_usage_seconds_total），添加命名空间维度筛选器，指定目标命名空间
• 添加日志组件：用Kusto查询限定命名空间范围，示例查询：

  ContainerLog
  | where Namespace == "your-target-namespace"
  | project TimeGenerated, LogEntry, ContainerName, PodName
  | sort by TimeGenerated desc
  

• 保存时命名为Namespace-<目标命名空间>-Dashboard，便于识别区分

2. 模板复用简化操作 #

• 对第一个创建好的命名空间仪表盘，点击「保存为模板」；后续创建其他命名空间仪表盘时直接导入模板，仅修改筛选器中的命名空间参数即可，减少重复配置

二、权限控制：限定用户仅访问指定命名空间仪表盘 #

1. 仪表盘级RBAC配置 #

• 创建自定义角色：在Azure IAM中新建角色，仅勾选Microsoft.Insights/dashboards/read权限（如需查看日志，额外添加Microsoft.OperationalInsights/workspaces/query/read）
• 分配角色至目标用户：进入目标仪表盘的「IAM」页面，将自定义角色分配给用户，作用域限定为该仪表盘，确保用户仅能访问此命名空间的监控视图

2. 日志数据级隔离 #

• 在Log Analytics工作区的「权限」→「查询范围」中，创建规则限定用户只能查询指定命名空间的日志数据，实现数据层面的访问隔离

三、成本优化与最佳实践 #

1. 监控数据策略优化 #

• 调整日志保留期：非核心业务命名空间设置7-30天保留期，核心业务命名空间按需延长至90天以上
• 启用指标采样：对高频容器指标（如CPU、内存使用率）设置合理采样率，降低数据 ingestion 量

2. 工具选型建议 #

• Azure Monitor内置仪表盘：零额外成本，直接复用AKS监控数据，适合中小规模集群
• Azure托管Grafana：需轻量成本，支持更灵活的可视化配置，通过文件夹权限实现命名空间级视图隔离，管理效率更高

3. 批量管理技巧 #

• 用Azure CLI批量生成仪表盘：编写脚本调用az monitor dashboard create命令，批量创建各命名空间的监控视图
• 定期清理：删除已废弃命名空间的仪表盘，减少权限管理负担与存储成本

内容的提问来源于stack exchange，提问作者Srikanth Mannepalli